PHP 防止遠端表單提交

Web 的好處是可以分享資訊和服務。壞處也是可以分享資訊和服務，因為有些人做事毫無顧忌。
以表單為例。任何人都能夠存取一個 Web 站點，並使用瀏覽器上的 File > Save As 建立表單的本機副本。然後，他可以修改action 參數來指向一個完全限定的URL（不指向formHandler.php，而是指向http://www.yoursite.com/formHandler.php，因為表單在這個網站上），做他希望的任何修改，點選Submit，伺服器會把這個表單資料當作合法通訊流接收。
首先可能考慮檢查 $_SERVER['HTTP_REFERER']，從而判斷請求是否來自自己的伺服器，這種方法可以擋住大多數惡意用戶，但是擋不住最高明的駭客。這些人足夠聰明，能夠篡改頭部中的引用者信息，使表單的遠端副本看起來像是從您的伺服器提交的。
處理遠端表單提交更好的方式是，根據一個惟一的字串或時間戳記產生一個令牌，並將這個令牌放在會話變數和表單中。提交表單之後，檢查兩個令牌是否符合。如果不匹配，就知道有人試圖從表單的遠端副本發送資料。
要建立隨機的令牌，可以使用PHP 內建的md5()、uniqid() 和rand() 函數，如下所示：

<span style="font-size: small;"><?php  
session_start();  
  
if ($_POST[&#39;submit&#39;] == "go"){  
    //check token  
    if ($_POST[&#39;token&#39;] == $_SESSION[&#39;token&#39;]){  
        //strip_tags  
        $name = strip_tags($_POST[&#39;name&#39;]);  
        $name = substr($name,0,40);  
        //clean out any potential hexadecimal characters  
        $name = cleanHex($name);  
        //continue processing....  
    }else{  
        //stop all processing! remote form posting attempt!  
    }  
}  
  
$token = md5(uniqid(rand(), true));  
$_SESSION[&#39;token&#39;]= $token;  
  
  
function cleanHex($input){  
    $clean = preg_replace("![\][xX]([A-Fa-f0-9]{1,3})!", "",$input);  
    return $clean;  
}  
?>  
  
  
<form action="<?php echo $_SERVER[&#39;PHP_SELF&#39;];?>" method="post">  
<p><label for="name">Name</label>  
<input type="text" name="name" id="name" size="20" maxlength="40"/></p>  
<input type="hidden" name="token" value="<?php echo $token;?>"/>  
<p><input type="submit" name="submit" value="go"/></p>  
</form>   </span>

 這種技術是有效的，這是因為在PHP 中會話資料無法在伺服器之間遷移。即使有人獲得了您的 PHP 源代碼，將它轉移到自己的伺服器上，並向您的伺服器提交訊息，您的伺服器接收的也只是空的或畸形的會話令牌和原來提供的表單令牌。它們不匹配，遠端表單提交就失敗了。